LDAPの概要

LDAP（Lightweight Directory Access Protocol）プロトコルは、ネットワーク上に分散する情報を統合するディレクトリサービスを提供するために生まれたプロトコルです。ディレクトリサービスとは、ディレクトリと呼ばれる情報の蓄積場所から、ある「キー」に関連する情報を取り出す仕組みのことで、たとえば電話帳は名前をキーにして電話番号を取り出すディレクトリサービスの1つだと言えます。MIRACLE LINUXでは、フリーなLDAPの実装であるOpenLDAP を採用しています。

LDAPの管理

LDAP において、各エントリは階層ツリー形式で管理されます。最もわかりやすい方法は、下図のように、ツリーをインターネットドメイン名を元に構築することです。

LDIF

LDAP Data Interchange Format（LDIF）はASCIIテキストのフォーマットを利用した、LDAPエントリの表示です。後述するldapadd コマンドなどでLDAPサーバーへデータをインポートする場合、LDIF形式のデータファイルを使用します。LDIFのフォーマットは次のようになります。

# コメント
　dn: <識別名>
　<属性記述子>: <属性値>
　<属性記述子>: <属性値>

＜LDIFファイルの例＞

dn: cn=MIRACLE LINUX, dc=miraclelinux, dc=com
cn: MIRACLE LINUX

LDAPの設定

LDAP サーバーを効果的に使用するには、/etc/openldap/slapd.conf を適切に編集する必要があります。主な設定箇所を示しますが、ここには記述されていない設定パラメータがいくつも存在します。これらのパラメータについては、man slapd.conf と入力してマニュアルページを参照してください。

　スキーマファイルの追加

include	/etc/openldap/schema/samba.schema

　ベースサフィックスの定義

suffix  “dc=miraclelinux, dc=com

　LDPAサーバー管理者の指定

rootdn  “cn=Manager, dc=miraclelinux, dc=com”

　LDAPサーバー管理者のパスワード設定

設定ファイルの中にはLDAP サーバーの管理者のためのパスワードを記述する必要がありますが、プレーンテキストで明記してしまうとセキュリティー上問題があります。OpenLDAPでは暗号化したパスワードも取り扱えるので、次のコマンドを実行して、MD5 化したパスワードを設定ファイルに記入してください。

例では「secret」という文字列をMD5で暗号化しています。

# /usr/sbin/slappasswd -s secret -h {MD5}
{MD5}Xr4ilOzQ4PCOq3aQ0qbuaQ==

上記の結果をもとに、slapd.confのrootpwエントリーを編集します。

rootpw  {MD5} Xr4ilOzQ4PCOq3aQ0qbuaQ==

LDAPクライアントのコマンド

openldap-client パッケージには、複数のLDAP クライアントプログラムが含まれています。これらのツールを使用することで、LDAP サーバー内に存在するデータを検索、追加、修正、削除などを行うことが可能になります。

• ldapsearch --- データ検索
• ldapadd --- データ追加
• ldapmodify --- データ更新
• ldapdelete --- データ削除
• ldappasswd --- データのパスワード変更
• ldapmodrdn --- データ名の変更

(例)LDAPサーバーへのデータの追加
LDAP サーバーにデータを追加するには、ldapadd コマンドを使用します。ldapadd は　　LDIF 形式のファイルを必要とするので、最初にLDIF ファイルを作成して、そのファイルをldapadd に渡すことでデータを登録します。

example.ldif というファイルを作成する例を示します。

dn: dc=miraclelinux,dc=com
objectclass: dcObject
objectclass: organization
dc: miraclelinux
dn: cn=Manager,dc=miraclelinux,dc=com
objectclass: posixAccount
cn: Manager
uid: Manager

ファイルを作成したら、ldapadd でこれらのエントリを追加します。

$ /usr/bin/ldapadd -x -f example.ldif

上記のコマンドは、どのユーザーでもLDAPサーバーに書き込みが可能な場合のみ有効です。アクセス制限などがLDAP サーバーに設定されている場合、管理者ユーザーなどの書き込み権限のあるユーザーを指定する必要があります。

$ /usr/bin/ldapadd -x -D "cn=Manager,dc=miraclelinux,dc=com" -W \	 -f example.ldif

-D オプションの後にバインド（接続）するユーザー名を指定します。-Wオプションはパスワードのプロンプトを表示させるオプションです。なお、これらのオプションは他のLDAP クライアントツールと共通です。